RDP 不要直接对公网
3389 是被爆破最多的端口之一，把远程桌面直接开到公网等于把登录界面摆在所有扫描器面前。正确做法是先收边界：用 RD 网关、堡垒机或 VPN 作为唯一入口，主机侧再按来源网段限制只允许跳板访问，最后把系统内置的远程桌面放行规则关掉。
基本信息
| 适用平台 | Windows 与网络边界设备 |
|---|---|
| 风险等级 | 高 |
| 基线要求 | 3389 不直接对公网开放 |
| 收敛手段 | RD 网关、堡垒机、VPN |
| 主机侧控制 | Windows 防火墙来源限制 |
| 观察指标 | 4625 登录失败事件 |
典型使用场景
- 消除公网直接暴露的远程桌面
- 把运维入口统一收敛到堡垒机或网关
- 排查 3389 的来源与爆破记录
- 新上线服务器的远程管理通道设计
- 远程办公场景下的访问路径收敛
- 人员离职或权限回收时的入口复核
主机侧来源限制
主机侧来源限制
Get-NetFirewallRule -DisplayName '*RDP*' | Get-NetFirewallAddressFilter | Select-Object RemoteAddress # 查看现有 RDP 规则的来源
New-NetFirewallRule -DisplayName 'RDP-From-Bastion' -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3389 -RemoteAddress 10.8.0.0/24 # 只允许堡垒机网段
Get-NetFirewallRule -DisplayName 'Remote Desktop*' | Set-NetFirewallRule -Enabled False # 确认替代规则可用后再关闭默认规则
Get-NetFirewallRule -DisplayName 'RDP-From-Bastion' | Select-Object Enabled, Direction, Action # 复核新规则状态边界侧收敛
边界侧收敛
# 1) 公网出口只放行 RD 网关或 VPN 的入口，不做 3389 直通
# 2) 堡垒机统一承载运维会话，保留完整的操作审计
# 3) 云环境同步收敛安全组，主机防火墙与安全组两层一起改复核必查项
| 检查项 | 含义 | 注意点 |
|---|---|---|
| 3389 对外可达性 | 是否可从公网直连 | 必须为不可达 |
| 防火墙来源限制 | RDP 规则允许的来源 | 只允许跳板与运维网段 |
| 默认规则状态 | 系统内置的远程桌面放行项 | 有更严格替代规则后关闭 |
| 4625 事件 | 登录失败记录 | 收敛后仍要观察残余来源 |
| 边界入口 | 网关、堡垒机或 VPN | 作为唯一管理入口 |
禁用默认的远程桌面规则之前，务必确认已有一条可用且更严格的替代规则：否则当前会话可能立刻断开，把自己锁在外面。
改规则的瞬间当前 RDP 会话可能被重新评估：用带外通道操作，或者采用先加后删的两步法。
曾经公网直连过 RDP 的机器通常留有大量 4625 爆破日志：收敛之后仍要观察一周，确认没有残余来源还在尝试。